Trojan paranoïa nb1,7.zip Résolu/Fermé

Question

Bonjour,
comment enlever trojan NetBus ou B.O. d’un ordinateur infecté ?

ps : peut'on être infecté en ouvrant un fichier zip ?
pour info j'ai reçu un fichier zip , je n'ai rien extrait , mais quand j'ai ouvert le fichier .zip j'ai reçu une notification de sécurité avec la mention "Grave" m'avertissant d'un netbus et me demandant de supprimé ou ignoré...

peut'on être infecté en ouvrant un fichier zip ?

merci ...

pimprenelle27 · Answer

Bonsoir,

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner

Ensuite :

Télécharge le fichier d'installation d'HijackThis.

Enregistre HJTInstall.exe sur ton bureau.

Renomme Hijackthis en Tutu

Double-clique sur HJTInstall.exe (tutu)  pour lancer le programme

Par défaut, il s'installera là :
C:\Program Files\Trend Micro\HijackThis

Accepte la licence en cliquant sur le bouton "I Accept"

Choisis l'option "Do a system scan and save a log file"

Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note

Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

Colle le rapport que tu viens de copier sur ce forum

Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement

Tutoriaux (ne fixe rien pour le moment !!)

Pour ceux qui ont vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

Gangsta113 · Answer

voilà le rapport :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:33:09, on 13/04/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Samsung\Easy Display Manager\dmhkcore.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\G.AN.G.ST.A\Desktop\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O17 - HKLM\System\CCS\Services\Tcpip\..\{032FC557-7357-485A-92CE-4D7D864F42ED}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{032FC557-7357-485A-92CE-4D7D864F42ED}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

pimprenelle27 · Answer

Télécharge GenProc sur ton bureau

Double-clique sur GenProc.exe

et poste le contenu du rapport qui s'ouvre à la suite de la question êtes vous aider par quelqu'un, répondre oui. Merci.

Voir  comment utiliser GenProc

Pour ceux qui ont Vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

IMPORTANT : Poste la procédure Genproc et ne fais rien d'autre pour l'instant ( souvent il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement )

Gangsta113 · Answer

voilà :

Rapport GenProc 2.523 [1] - 14/04/2009 à  0:39:25 - Windows Vista 
 
GenProc n'a détecté aucune infection caractéristique et suggère de suivre la procédure suivante : 


Poste un rapport Nod32 https://www.eset.com/ (il faut utiliser Internet Explorer)
- coche toutes les cases à chaque fois, et lorsque c'est terminé, colle le rapport :  
- C:\Program Files\EsetOnlineScanner\log.txt

----------------------------------------------------------------------
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com
----------------------------------------------------------------------

pimprenelle27 · Answer

Ok très bien maintenant fais moi ceci : 

Télécharge malwarebytes

NB : S'il te manque COMCTL32.OCX alors télécharge le ici

Tu l´installe; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; clic sur l´onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".

Clic maintenant sur l´onglet recherche et coche la case : "exécuter un examen complet".

Puis clic sur "rechercher".

Laisse le scanner le pc...

Si des éléments on été trouvés > clic sur supprimer la sélection.

si il t´es demandé de redémarrer > clic sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum.
Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l'onglet rapport/log


Tutoriaux

loloetseb · Answer

Salut pimprenelle,

Il me semble que Netbus est un programme de hacking similaire à sub 7 et prorat,donc je conseillerais a gangsta de pas faire d'operation bancaire et de modifier avec un autre ordinateur tous les codes (msn,bancaire et autres) car Netbus permet d'y acceder.

kevin05 · Answer

:)

pimprenelle27 · Answer

Merci pour l'info.

Gangsta113 · Answer

voilà pour le scan :

Malwarebytes' Anti-Malware 1.36
Version de la base de données: 1978
Windows 6.0.6001 Service Pack 1

14/04/2009 01:58:56
mbam-log-2009-04-14 (01-58-56).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 119058
Temps écoulé: 1 hour(s), 9 minute(s), 54 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

pimprenelle27 · Answer

Ok très bien maintenant fais moi ceci : 

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner


Télécharge Superantispyware (SAS)



Choisis "enregistrer" et enregistre-le sur ton bureau.

Double-clique sur l'icône d'installation qui vient de se créer et suis les instructions.

Créé une icône sur le bureau.

Double-clique sur l'icône de SAS (une tête dans un cercle rouge barré) pour le lancer.

- Si l'outil te demande de mettre à jour le programme ("update the program definitions", clique sur yes.
- Sous Configuration and Préférences, clique sur le bouton "Préférences"
- Clique sur l'onglet "Scanning Control "
- Dans "Scanner Options ", assure toi que la case devant lles lignes suivantes est cochée :

Close browsers before scanning  (Fermer Navigateur avant le scan)

Scan for tracking cookies  (Scan pour dépister les cookies)

Terminate memory threats before quarantining (Terminez les menaces de mémoire avant de mettre en quarantaine)

- Laisse les autres lignes décochées.

- Clique sur le bouton "Close" pour quitter l'écran du centre de contrôle.

- Dans la fenêtre principale, clique, dans "Scan for Harmful Software", sur "Scan your computer".

Dans la colonne de gauche, coche C:\Fixed Drive.

Dans la colonne de droite, sous "Complète scan", clique sur "Perform Complète Scan"

Clique sur "next" pour lancer le scan. Patiente pendant la durée du scan.

A la fin du scan, une fenêtre de résultats s'ouvre . Clique sur OK.

Assure toi que toutes les lignes de la fenêtre blanche sont cochées et clique sur "Next".

Tout ce qui a été trouvé sera mis en quarantaine. S'il t'es demandé de redémarrer l'ordi ("reboot"), clique sur Yes.

Pour recopier les informations sur le forum, fais ceci :

- après le redémarrage de l'ordi, double-clique sur l'icône pour lancer SAS.
- Clique sur "Préférences" puis sur l'onglet "Statistics/Logs ".
- Dans "scanners logs", double-clique sur SuperAntiSpyware Scan Log.

- Le rapport va s'ouvrir dans ton éditeur de texte par défaut.

- Copie son contenu dans ta réponse.


Regarde bien le tuto SuperAntiSpyware il est très bien expliqué.

Gangsta113 · Answer

SUPERAntiSpyware Scan Log
https://www.superantispyware.com/

Generated 04/15/2009 at 07:23 AM

Application Version : 4.26.1000

Core Rules Database Version : 3844
Trace Rules Database Version: 1799

Scan type       : Complete Scan
Total Scan Time : 00:43:50

Memory items scanned      : 579
Memory threats detected   : 0
Registry items scanned    : 5344
Registry threats detected : 0
File items scanned        : 21786
File threats detected     : 2

Trojan.VXGame-Variant/D
	C:\USERS\G.AN.G.ST.A\APPDATA\ROAMING\MICROSOFT\INSTALLER\{CDDCBBF1-2703-46BC-938B-BCC81A1EEAAA}\ICONCDDCBBF13.EXE
	C:\USERS\G.AN.G.ST.A\APPDATA\ROAMING\MICROSOFT\INSTALLER\{CDDCBBF1-2703-46BC-938B-BCC81A1EEAAA}\ICONCDDCBBF15.EXE

---------------------------------------------------------------------------------------------------------------------------

- Mamma mia 2 trojan sur mon pc ! que pasa ??!! il était bien caché les filous, dans un dossier microsoft carrément^^ j'y ai vu que du feu -_-'
j'ai mis sa en quarantaine ! direct :)

Merci pimprenelle27 de ton aide .

pimprenelle27 · Answer

supprime ça Direct, ensuite fais moi ceci : 

http://www.commentcamarche.net/telecharger/telechargement 34056524 removeit pro 4 se Télécharger RemoveIT Pro]

Fais un scan et poste moi le full rapport log.

A la fin du 1er scan, s'il demande de faire un scan complet dite oui et à la fin du 2ème scan, si virus trouvé cliquez sur fix pour nettoyer des virus trouvés.

Gangsta113 · Answer

au debut il m'a trouvé "un virus" : sys32.pcclpfr.dll j'ai cliqué sur "fix" puis refait un scan
voilà le rapport final :
16:41:58: Scanning, please wait...
16:45:19: Your computer is clean!

full rapport log :

RemoveIT Pro v4 - SE (Build date: 6.6.2008) full information log file.
Generated at: 15/04/2009 on 16:50:33
Microsoft Windows Vista Home Edition Service Pack 1 (Build 6001)
Author: Damjan Irgolic
https://www.incodesolutions.com/
support@incodesolutions.com


Running processes: (13)
C:\Windows\system32	askeng.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Program Files\Samsung\Easy Display Manager\dmhkcore.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\InCode Solutions\RemoveIT Pro v4 - SEemoveit.exe
C:\Program Files\Mozilla Firefox\firefox.exe

Startup files:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Sidebar
[C:\Program Files\Windows Sidebar\sidebar.exe /autoRun]
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\SpybotSD TeaTimer
[C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe]
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\SUPERAntiSpyware
[C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Windows Defender
[%ProgramFiles%\Windows Defender\MSASCui.exe -hide]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\RtHDVCpl
[RtHDVCpl.exe]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\SynTPEnh
[C:\Program Files\Synaptics\SynTP\SynTPEnh.exe]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\avgnt
["C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min]

Detail report: (52)
Clsid c:\program files\superantispyware\saswinlo.dll[972edede23ac8d59aac0c09799c6f18a][356352]
Clsid C:\Windows\system32\iconcodecservice.dll[08578f3ca5365f896d90ce2bf97fd000][9728]
Proc C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe[6e812818306d460d62b4abea9fdc6679][266497]
Proc C:\Program Files\InCode Solutions\RemoveIT Pro v4 - SEemoveit.exe[067c5831ac6de42aafeda01530d6d00a][550912]
Proc C:\Program Files\Mozilla Firefox\firefox.exe[7e4b0bb3b1e87d2b0f07dfacbd5b3f0b][307704]
Proc C:\Program Files\Samsung\Easy Display Manager\dmhkcore.exe[d0b425d7527b77cc12d62f41c1d8c985][692224]
Proc C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe[390679f7a217a5e73d756276c40ae887][2260480]
Proc C:\Program Files\Synaptics\SynTP\SynTPEnh.exe[584ef0b8eae960e3d96e8999e7b887c6][815104]
Proc C:\Program Files\Windows Defender\MSASCui.exe[0d392ede3b97e0b3131b2f63ef1db94e][1008184]
Proc C:\Program Files\Windows Sidebar\sidebar.exe[fd278e51a7d6f52d22fce6c67e037ad6][1233920]
Proc C:\Windows\Explorer.EXE[4f554999d7d5f05daaebba7b5ba1089d][2927104]
Proc C:\Windows\RtHDVCpl.exe[a503a47a5e7ea8024379a8cc6059b74a][3784704]
Proc C:\Windows\system32\Dwm.exe[59903071d7ace6a02093c47e9e38af97][81920]
Proc C:\Windows\system32	askeng.exe[5f109032ce46b7184ed9e50f9fe8489e][169472]
RegRun c:\program files\avira\antivir personaledition classic\avgnt.exe [6e812818306d460d62b4abea9fdc6679][266497]
RegRun c:\program files\spybot - search & destroy	eatimer.exe[390679f7a217a5e73d756276c40ae887][2260480]
RegRun c:\program files\superantispyware\superantispyware.exe[b715b35ca9c21e511ec83a316e20a466][1830128]
RegRun c:\program files\synaptics\syntp\syntpenh.exe[584ef0b8eae960e3d96e8999e7b887c6][815104]
RegRun c:\program files\windows sidebar\sidebar.exe [fd278e51a7d6f52d22fce6c67e037ad6][1233920]
RegRun C:\Windowsthdvcpl.exe[a503a47a5e7ea8024379a8cc6059b74a][3784704]
Service c:\program files\avira\antivir personaledition classic\avguard.exe[335a142923fe7f97e8c8388acd067568][151297]
Service c:\program files\avira\antivir personaledition classic\sched.exe[d6c8942bea3698a2e7559bd423bfa5d7][68865]
Service c:\program files\pc connectivity solution\servicelayer.exe[65114d59850ca4d7785c22f922cc6942][212480]
Service c:\program files\spybot - search & destroy\sdwinsec.exe[794d4b48dfb6e999537c7c3947863463][1153368]
Service c:\program files\windows media player\wmpnetwk.exe[3978704576a121a9204f8cc49a301a9b][896512]
Service c:\windows\ehome\ehrecvr.exe[9be3744d295a7701eb425332014f0797][292352]
Service c:\windows\ehome\ehsched.exe[ad1870c8e5d6dd340c829e6074bf3c3f][131072]
Service c:\windows\microsoft.net\framework\v2.0.50727\mscorsvw.exe[d87acaed61e417bba546ced5e7e36d9c][69632]
Service c:\windows\microsoft.net\framework\v3.0\windows communication foundation\infocard.exe[7b630acaed64fef0c3e1cf255cb56686][881664]
Service c:\windows\microsoft.net\framework\v3.0\windows communication foundation\smsvchost.exe[0ad5876ef4e9eb77c8f93eb5b2fff386][132096]
Service c:\windows\microsoft.net\framework\v3.0\wpf\presentationfontcache.exe[c9be08664611ddaf98e2331e9288b00b][46104]
Service c:\windows\servicing	rustedinstaller.exe[16613a1bad034d4ecf957af18b7c2ff5][39424]
Service c:\windows\system32\agrsmsvc.exe[39e435c90c9c4f780fa0ed05ca3c3a1b][9216]
Service c:\windows\system32\alg.exe[a1545b731579895d8cc44fc0481c1192][59392]
Service c:\windows\system32\ati2evxx.exe[202f86ba4b7bdf9d0a6e81d148fef560][729088]
Service c:\windows\system32\dfsr.exe[fa3463f25f9cc9c3bcf1e7912feff099][2091520]
Service c:\windows\system32\dllhost.exe [be01e566d1f569aab32d0335613e1eea][7168]
Service c:\windows\system32\locator.exe[5123f83cbc4349d065534eeb6bbdc42b][7680]
Service c:\windows\system32\lsass.exe[dcf733788c7d088d814e5f80eb4b3e0f][9728]
Service c:\windows\system32\msdtc.exe[fd7520cc3a80c5fc8c48852bb24c6ded][105984]
Service c:\windows\system32\searchindexer.exe [7778bdfa3f6f6fba0e75b9594098f737][439808]
Service c:\windows\system32\slsvc.exe[0ba91e1358ad25236863039bb2609a2e][2623488]
Service c:\windows\system32\snmptrap.exe[2a146a055b4401c16ee62d18b8e2a032][12800]
Service c:\windows\system32\spoolsv.exe[846cdf9a3cf4da9b306adfb7d55ee4c2][125952]
Service c:\windows\system32\svchost.exe [3794b461c45882e06856f282eef025af][21504]
Service c:\windows\system32\ui0detect.exe[ecef404f62863755951e09c802c94ad5][35840]
Service c:\windows\system32\vds.exe[b13bc395b9d6116628f5af47e0802ac4][382976]
Service c:\windows\system32\vssvc.exe[d5fb73d19c46ade183f968e13f186b23][1054720]
Service c:\windows\system32\wbem\wmiapsrv.exe[aba4cf9f856d9a3a25f4ddd7690a6e9d][137728]
Startup c:\programdata\microsoft\windows\start menu\programs\startup\desktop.ini[7f1698bab066b764a314a589d338daae][174]
Startup c:\users\g.an.g.st.a\appdataoaming\microsoft\windows\start menu\programs\startup\desktop.ini[7f1698bab066b764a314a589d338daae][174]
System.ini c:\windows\system32\svchost.exe [3794b461c45882e06856f282eef025af][21504]

Startup folder: (2)
Startup name: desktop.ini
Command: C:\Users\G.AN.G.ST.A\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
Startup name: desktop.ini
Command: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

Win.ini Startup: (1)
Path: No additional driver found!

Win.ini Startup: (1)
Path: No additional driver found!

Keyboard drivers: (1)
Name: No Keyboard Filter driver found!

Services: (131)
Service Name: Accès du périphérique d'interface utilisateur [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Acquisition d'image Windows (WIA) [Running], 
Path: C:\Windows\system32\svchost.exe -k imgsvc
Service Name: Agent de protection d’accès réseau [Stopped], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Agent de stratégie IPsec [Running], 
Path: C:\Windows\system32\svchost.exe -k NetworkServiceNetworkRestricted
Service Name: Agere Modem Call Progress Audio [Running], 
Path: C:\Windows\system32\agrsmsvc.exe
Service Name: Appel de procédure distante (RPC) [Running], 
Path: C:\Windows\system32\svchost.exe -k rpcss
Service Name: Application système COM+ [Stopped], 
Path: C:\Windows\system32\dllhost.exe /Processid:{02D4B3F1-FD88-11D1-960D-00805FC79235}
Service Name: Assistance IP [Running], 
Path: C:\Windows\System32\svchost.exe -k NetSvcs
Service Name: Assistance NetBIOS sur TCP/IP [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Ati External Event Utility [Running], 
Path: C:\Windows\system32\Ati2evxx.exe
Service Name: Audio Windows [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Avira AntiVir Personal - Free Antivirus Guard [Running], 
Path: "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe"
Service Name: Cache de police de Windows Presentation Foundation 3.0.0.0 [Stopped], 
Path: C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe
Service Name: Carte à puce [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Carte de performance WMI [Stopped], 
Path: C:\Windows\system32\wbem\WmiApSrv.exe
Service Name: Centre de sécurité [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Cliché instantané de volume [Stopped], 
Path: C:\Windows\system32\vssvc.exe
Service Name: Client de stratégie de groupe [Running], 
Path: C:\Windows\system32\svchost.exe -k GPSvcGroup
Service Name: Client de suivi de lien distribué [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Client DHCP [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Client DNS [Running], 
Path: C:\Windows\system32\svchost.exe -k NetworkService
Service Name: Collecteur d'événements de Windows [Stopped], 
Path: C:\Windows\system32\svchost.exe -k NetworkService
Service Name: Configuration automatique de réseau câblé [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Configuration des services Terminal Server [Stopped], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Connaissance des emplacements réseau [Running], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Connexions réseau [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Contrôle parental [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Coordinateur de transactions distribuées [Stopped], 
Path: C:\Windows\System32\msdtc.exe
Service Name: Découverte SSDP [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Détection de services interactifs [Stopped], 
Path: C:\Windows\system32\UI0Detect.exe
Service Name: Détection matériel noyau [Running], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Disque virtuel [Stopped], 
Path: C:\Windows\System32\vds.exe
Service Name: Emplacement protégé [Stopped], 
Path: C:\Windows\system32\lsass.exe
Service Name: Énumérateur de bus IP PnP-X [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Expérience audio-vidéo haute qualité Windows [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Expérience d’application [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Explorateur d'ordinateurs [Stopped], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Fournisseur de cliché instantané de logiciel Microsoft [Stopped], 
Path: C:\Windows\System32\svchost.exe -k swprv
Service Name: Générateur de points de terminaison du service Audio Windows [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Gestion à distance de Windows (Gestion WSM) [Stopped], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Gestion des clés et des certificats d'intégrité [Stopped], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Gestionnaire de comptes de sécurité [Running], 
Path: C:\Windows\system32\lsass.exe
Service Name: Gestionnaire de connexion automatique d'accès distant [Stopped], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Gestionnaire de connexions d'accès distant [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Gestionnaire de sessions du Gestionnaire de fenêtrage [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Gestionnaire d'identité réseau homologue [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Groupement de mise en réseau de pairs [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Horloge Windows [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Hôte de périphérique UPnP [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Hôte du fournisseur de découverte de fonctions [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Hôte système de diagnostics [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Informations d'application [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Infrastructure de gestion Windows [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Interruption SNMP [Stopped], 
Path: C:\Windows\System32\snmptrap.exe
Service Name: Isolation de clé CNG [Running], 
Path: C:\Windows\system32\lsass.exe
Service Name: Journal d’événements Windows [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Journaux & alertes de performance [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNoNetwork
Service Name: Lanceur de processus serveur DCOM [Running], 
Path: C:\Windows\system32\svchost.exe -k DcomLaunch
Service Name: Lanceur des services Windows Media Center [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
Service Name: Licence du logiciel [Running], 
Path: C:\Windows\system32\SLsvc.exe
Service Name: Localisateur d'appels de procédure distante (RPC) [Stopped], 
Path: C:\Windows\system32\locator.exe
Service Name: Mappage de découverte de topologie de la couche de liaison [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalService
Service Name: Microsoft .NET Framework NGEN v2.0.50727_X86 [Stopped], 
Path: C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
Service Name: Modules de génération de clés IKE et AuthIP [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Moteur de filtrage de base [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
Service Name: Netlogon [Stopped], 
Path: C:\Windows\system32\lsass.exe
Service Name: Ouverture de session secondaire [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Pare-feu Windows [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
Service Name: Partage de connexion Internet (ICS) [Stopped], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Planificateur Avira AntiVir Personal - Free Antivirus [Running], 
Path: "C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe"
Service Name: Planificateur de classes multimédias [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Planificateur de tâches [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Plug-and-Play [Running], 
Path: C:\Windows\system32\svchost.exe -k DcomLaunch
Service Name: Prise en charge de l’application Rapports et solutions aux problèmes du Panneau de configuration [Stopped], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Programme d’installation de modules Windows [Stopped], 
Path: C:\Windows\servicing\TrustedInstaller.exe
Service Name: Propagation du certificat [Stopped], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Protocole de résolution de noms d'homologues [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Protocole EAP (Extensible Authentication Protocol) [Running], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Publication des ressources de découverte de fonctions [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Registre à distance [Stopped], 
Path: C:\Windows\system32\svchost.exe -k regsvc
Service Name: Réplication DFS [Stopped], 
Path: C:\Windows\system32\DFSR.exe
Service Name: Routage et accès distant [Stopped], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Sauvegarde Windows [Stopped], 
Path: C:\Windows\system32\svchost.exe -k SDRSVC
Service Name: SBSD Security Center Service [Running], 
Path: C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
Service Name: Serveur [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Serveur de priorités des threads [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Service de configuration automatique WLAN [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Service de découverte automatique de Proxy Web pour les services HTTP Windows [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Service de l’Assistant Compatibilité des programmes [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Service de la passerelle de la couche Application [Stopped], 
Path: C:\Windows\System32\alg.exe
Service Name: Service de notification d’événements système [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Service de notification de l’interface utilisateur SL [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Service de partage de ports Net.Tcp [Stopped], 
Path: "C:\Windows\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe"
Service Name: Service de planification Windows Media Center [Stopped], 
Path: C:\Windows\ehome\ehsched.exe
Service Name: Service de profil utilisateur [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Service de publication des noms d’ordinateurs PNRP [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
Service Name: Service de rapport d'erreurs Windows [Running], 
Path: C:\Windows\System32\svchost.exe -k WerSvcGroup
Service Name: Service de réception Windows Media Center [Stopped], 
Path: C:\Windows\ehome\ehRecvr.exe
Service Name: Service de stratégie de diagnostic [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalServiceNoNetwork
Service Name: Service de transfert intelligent en arrière-plan [Running], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: Service Énumérateur d’appareil mobile [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Service hôte WDIServiceHost [Stopped], 
Path: C:\Windows\System32\svchost.exe -k wdisvc
Service Name: Service Initiateur iSCSI de Microsoft [Stopped], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Service Interface du magasin réseau [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Service KtmRm pour Distributed Transaction Coordinator [Running], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Service Liste des réseaux [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalService
Service Name: Service Panneau de saisie Tablet PC [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Service Partage réseau du Lecteur Windows Media [Stopped], 
Path: "C:\Program Files\Windows Media Player\wmpnetwk.exe"
Service Name: Service ReadyBoost [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Service Windows Media Center Extender [Stopped], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Service SSTP (Secure Socket Tunneling Protocol) [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: ServiceLayer [Stopped], 
Path: "C:\Program Files\PC Connectivity Solution\ServiceLayer.exe"
Service Name: Services de base de module de plateforme sécurisée [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalService
Service Name: Services de chiffrement [Running], 
Path: C:\Windows\system32\svchost.exe -k NetworkService
Service Name: Services Terminal Server [Running], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Spouleur d'impression [Running], 
Path: C:\Windows\System32\spoolsv.exe
Service Name: Station de travail [Running], 
Path: C:\Windows\System32\svchost.exe -k LocalService
Service Name: Stratégie de retrait de la carte à puce [Stopped], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Service Name: Superfetch [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Système de couleurs Windows [Stopped], 
Path: C:\Windows\system32\svchost.exe -k wcssvc
Service Name: Système d'événement COM+ [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Téléphonie [Running], 
Path: C:\Windows\System32\svchost.exe -k NetworkService
Service Name: Thèmes [Running], 
Path: C:\Windows\System32\svchost.exe -k netsvcs
Service Name: WebClient [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalService
Service Name: Windows CardSpace [Stopped], 
Path: "C:\Windows\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe"
Service Name: Windows Connect Now - Registre de configuration [Stopped], 
Path: C:\Windows\System32\svchost.exe -k LocalService
Service Name: Windows Defender [Running], 
Path: C:\Windows\System32\svchost.exe -k secsvcs
Service Name: Windows Driver Foundation - Infrastructure de pilote mode-utilisateur [Running], 
Path: C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted
Service Name: Windows Installer [Stopped], 
Path: C:\Windows\system32\msiexec /V
Service Name: Windows Search [Running], 
Path: C:\Windows\system32\SearchIndexer.exe /Embedding
Service Name: Windows Update [Running], 
Path: C:\Windows\system32\svchost.exe -k netsvcs
Finished...

loloetseb · Answer

Gangsta netbus est deja present sur ton ordinateur.Netbus est un serveur (que tu as sur le pc) et le recepteur est sur le pc de la personne qui t'a hacker donc il peut faire ce qu'il veut sur ton pc (allumer le pc,acceder a ta cam,ouvrir tes fichiers,enfin l'utiliser à distance comme il veut,donc faut faire peter le serveur.

loloetseb · Answer

En attendant pimprenelle,

Desinstalles remove it pro et ensuite postes moi un rsit pour analyse

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur ton Bureau. 

! Déconnecte toi et ferme toutes tes applications en cours ! 

Double-clique sur " RSIT.exe " pour le lancer . 

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 

* Devant l'option "List files/folders created ..." , tu choisis : 2 months 

* clique ensuite sur " Continue " pour lancer l'analyse ... 


-> laisse faire le scan et ne touche pas au PC ... 


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note). 

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ... 

Important : poste un rapport, puis l'autre dans la réponse suivante
Si tu essaies de poster les deux en même temps, cela risque d'être trop long pour le forum 


( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )

Gangsta113 · Answer

ok ! ^^ voilà le log :
Logfile of random's system information tool 1.06 (written by random/random)
Run by G.AN.G.ST.A at 2009-04-15 22:51:48
Microsoft® Windows Vista™ Édition Familiale Premium  Service Pack 1
System drive C: has 22 GB (42%) free of 52 GB
Total RAM: 765 MB (28% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:52:27, on 15/04/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Program Files\Samsung\Easy Display Manager\dmhkcore.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Program Files\Windows Media Player\WMPNSCFG.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\G.AN.G.ST.A\Desktop\RSIT.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files	rend micro\G.AN.G.ST.A.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O17 - HKLM\System\CCS\Services\Tcpip\..\{032FC557-7357-485A-92CE-4D7D864F42ED}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{032FC557-7357-485A-92CE-4D7D864F42ED}: NameServer = 192.168.1.1
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

Gangsta113 · Answer

et info.txt :
info.txt logfile of random's system information tool 1.06 2009-04-15 22:52:39

======Uninstall list======

Adobe Flash Player 10 ActiveX-->C:\Windows\system32\Macromed\Flash\uninstall_activeX.exe
Adobe Flash Player 10 Plugin-->C:\Windows\system32\Macromed\Flash\uninstall_plugin.exe
Adobe Shockwave Player-->C:\Windows\System32\Adobe\SHOCKW~1\UNWISE.EXE C:\Windows\System32\Adobe\SHOCKW~1\Install.log
adsl TV-->C:\Program Files\adslTV\Uninstal.exe
Atheros WLAN Client-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{04983D37-2202-4295-94A2-8B547C66133F}\setup.exe" -l0x9 
Avira AntiVir Personal - Free Antivirus-->C:\Program Files\Avira\AntiVir PersonalEdition Classic\SETUP.EXE /REMOVE
CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe"
Easy Display Manager-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\10\01\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{17283B95-21A8-4996-97DA-547A48DB266F}\setup.exe" -l0x9  -removeonly
eMule-->"C:\Program Files\eMule\Uninstall.exe"
Foxit Reader-->C:\Program Files\Foxit Software\Foxit Reader\Uninstall.exe
HijackThis 2.0.2-->"C:\Program Files	rend micro\HijackThis.exe" /uninstall
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall  /qb+ REBOOTPROMPT=""
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)-->C:\Windows\system32\msiexec.exe /package {CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9} /uninstall {A7EEA2F2-BFCD-4A54-A575-7B81A786E658} /qb+ REBOOTPROMPT=""
IZArc 3.81-->"C:\Program Files\IZArc\unins000.exe"
Java(TM) 6 Update 12-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216012FF}
K-Lite Codec Pack 4.7.5 (Full)-->"C:\Program Files\K-Lite Codec Pack\unins000.exe"
Microsoft .NET Framework 3.5 Language Pack SP1 - fra-->MsiExec.exe /I{3E31821C-7917-367E-938E-E65FC413EA31}
Microsoft .NET Framework 3.5 SP1-->c:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 SP1\setup.exe
Microsoft .NET Framework 3.5 SP1-->MsiExec.exe /I{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}
Microsoft Silverlight-->MsiExec.exe /X{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}
Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{A49F249F-0C91-497F-86DF-B2585E8E76B7}
Module linguistique Microsoft .NET Framework 3.5 SP1- fra-->c:\Windows\Microsoft.NET\Framework\v3.5\Microsoft .NET Framework 3.5 Language Pack SP1 - fra\setup.exe
Mozilla Firefox (3.0.8)-->C:\Program Files\Mozilla Firefox\uninstall\helper.exe
MSXML 4.0 SP2 (KB927978)-->MsiExec.exe /I{37477865-A3F1-4772-AD43-AAFC6BCFF99F}
MSXML 4.0 SP2 (KB954430)-->MsiExec.exe /I{86493ADD-824D-4B8E-BD72-8C5DCDC52A71}
Nokia Connectivity Cable Driver-->MsiExec.exe /X{972B1D9B-0EAD-49E8-B7D6-3B83FD5665B1}
Nokia Connectivity Cable Driver-->RUNDLL32.EXE nsesetup.dll,DoNTUninst
Notepad++-->C:\Program Files\Notepad++\uninstall.exe
Opera 9.64-->MsiExec.exe /X{A2A60894-E3ED-46FE-9A6A-7CF7A87572A0}
PC Connectivity Solution-->MsiExec.exe /I{6094AB91-4CC8-498E-9DFF-134CC0B159DE}
PhotoFiltre-->"C:\Program Files\PhotoFiltre\Uninst.exe"
Realtek 8139 and 8139C+ Ethernet Network Card Driver for Windows Vista-->C:\Program Files\InstallShield Installation Information\{AE46ABD3-D625-467F-B5A7-8D3FFF077F0D}\setup.exe -runfromtemp -l0x040c -removeonly
Realtek High Definition Audio Driver-->RtlUpd.exe -r -m
RemoveIT Pro v4 - SE-->C:\PROGRA~1\INCODE~1\REMOVE~1\UNWISE.EXE C:\PROGRA~1\INCODE~1\REMOVE~1\INSTALL.LOG
SENS LT56ADW Modem-->agrsmdel
Spybot - Search & Destroy-->"C:\Program Files\Spybot - Search & Destroy\unins000.exe"
SUPERAntiSpyware Free Edition-->MsiExec.exe /X{CDDCBBF1-2703-46BC-938B-BCC81A1EEAAA}
Synaptics Pointing Device Driver-->rundll32.exe "C:\Program Files\Synaptics\SynTP\SynISDLL.dll",standAloneUninstall
TmNationsForever-->"C:\Program Files\TmNationsForever\unins000.exe"
Ubuntu-->D:\ubuntu\Uninstall-Ubuntu.exe
Windows Media Player Firefox Plugin-->MsiExec.exe /I{69FDFBB6-351D-4B8C-89D8-867DC9D0A2A4}

======Hosts File======

127.0.0.1	www.007guard.com
127.0.0.1	007guard.com
127.0.0.1	008i.com
127.0.0.1	www.008k.com
127.0.0.1	008k.com
127.0.0.1	www.00hq.com
127.0.0.1	00hq.com
127.0.0.1	010402.com
127.0.0.1	www.032439.com
127.0.0.1	032439.com

======Security center information======

AS: Spybot - Search and Destroy (outdated)
AS: Windows Defender
AS: SUPERAntiSpyware (disabled)

======System event log======

Computer Name: GaNgStA_pC
Event Code: 15016
Message: Impossible d’initialiser le package de sécurité Kerberos pour l’authentification côté serveur. Le champ de données contient le numéro de l’erreur.
Record Number: 76925
Source Name: Microsoft-Windows-HttpEvent
Time Written: 20090415133910.413129-000
Event Type: Erreur
User: 

Computer Name: GaNgStA_pC
Event Code: 4001
Message: Le Service d’autoconfiguration WLAN s’est arrêté correctement.

Record Number: 77023
Source Name: Microsoft-Windows-WLAN-AutoConfig
Time Written: 20090415140219.412200-000
Event Type: Avertissement
User: AUTORITE NT\SYSTEM

Computer Name: GaNgStA_pC
Event Code: 15016
Message: Impossible d’initialiser le package de sécurité Kerberos pour l’authentification côté serveur. Le champ de données contient le numéro de l’erreur.
Record Number: 77034
Source Name: Microsoft-Windows-HttpEvent
Time Written: 20090415140323.007926-000
Event Type: Erreur
User: 

Computer Name: GaNgStA_pC
Event Code: 7
Message: La vitesse du processeur 0 est limitée par le matériel système. Le processeur est resté dans cet état de performances réduites pendant 34 secondes après le dernier rapport.
Record Number: 77125
Source Name: Microsoft-Windows-Kernel-Processor-Power
Time Written: 20090415160816.911826-000
Event Type: Avertissement
User: AUTORITE NT\SYSTEM

Computer Name: GaNgStA_pC
Event Code: 7
Message: La vitesse du processeur 1 est limitée par le matériel système. Le processeur est resté dans cet état de performances réduites pendant 34 secondes après le dernier rapport.
Record Number: 77126
Source Name: Microsoft-Windows-Kernel-Processor-Power
Time Written: 20090415160816.989826-000
Event Type: Avertissement
User: AUTORITE NT\SYSTEM

=====Application event log=====

Computer Name: GaNgStA_pC
Event Code: 1000
Message: Application défaillante removeit.exe, version 0.0.0.0, horodatage 0x2a425e19, module défaillant kernel32.dll, version 6.0.6001.18000, horodatage 0x4791a76d, code d’exception 0x0eedface, décalage d’erreur 0x000442eb, ID du processus 0x880, heure de début de l’application 0x01c9bdd29270ac4a.
Record Number: 4077
Source Name: Application Error
Time Written: 20090415140046.000000-000
Event Type: Erreur
User: 

Computer Name: GaNgStA_pC
Event Code: 1530
Message: Windows a détecté que votre fichier de Registre est toujours utilisé par d'autres applications ou services. Le fichier va être déchargé. Les applications ou services qui ont accès à votre Registre risquent de ne pas fonctionner correctement après cela. 

 DÉTAIL - 
 1 user registry handles leaked from \Registry\User\S-1-5-21-3928810815-1595696805-2799625495-1000:
Process 948 (\Device\HarddiskVolume2\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-3928810815-1595696805-2799625495-1000

Record Number: 4082
Source Name: Microsoft-Windows-User Profiles Service
Time Written: 20090415140200.000000-000
Event Type: Avertissement
User: AUTORITE NT\SYSTEM

Computer Name: GaNgStA_pC
Event Code: 1530
Message: Windows a détecté que votre fichier de Registre est toujours utilisé par d'autres applications ou services. Le fichier va être déchargé. Les applications ou services qui ont accès à votre Registre risquent de ne pas fonctionner correctement après cela. 

 DÉTAIL - 
 1 user registry handles leaked from \Registry\User\S-1-5-21-3928810815-1595696805-2799625495-1000_Classes:
Process 948 (\Device\HarddiskVolume2\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-3928810815-1595696805-2799625495-1000_CLASSES

Record Number: 4083
Source Name: Microsoft-Windows-User Profiles Service
Time Written: 20090415140202.000000-000
Event Type: Avertissement
User: AUTORITE NT\SYSTEM

Computer Name: GaNgStA_pC
Event Code: 1000
Message: Application défaillante removeit.exe, version 0.0.0.0, horodatage 0x2a425e19, module défaillant kernel32.dll, version 6.0.6001.18000, horodatage 0x4791a76d, code d’exception 0x0eedface, décalage d’erreur 0x000442eb, ID du processus 0x4a8, heure de début de l’application 0x01c9bdd36324b654.
Record Number: 4102
Source Name: Application Error
Time Written: 20090415140637.000000-000
Event Type: Erreur
User: 

Computer Name: GaNgStA_pC
Event Code: 1002
Message: Le programme removeit.exe version 0.0.0.0 a cessé d’interagir avec Windows et a été fermé. Pour déterminer si des informations supplémentaires sont disponibles, consultez l’historique du problème dans l’application Rapports et solutions aux problèmes du Panneau de configuration. ID de processus : fd4 Heure de début : 01c9bdd3821e56b4 Heure de fin : 0
Record Number: 4105
Source Name: Application Hang
Time Written: 20090415143139.000000-000
Event Type: Erreur
User: 

=====Security event log=====

Computer Name: GaNgStA_pC
Event Code: 5038
Message: L’intégrité du code a déterminé que le hachage de l’image d’un fichier n’est pas valide. Le fichier peut être endommagé en raison d’une modification non autorisée ou le hachage non valide peut indiquer une erreur d’unité de disque potentielle.

Nom du fichier :	\Device\HarddiskVolume2\Windows\System32\drivers	cpip.sys	
Record Number: 11542
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090415205224.047826-000
Event Type: Échec de l'audit
User: 

Computer Name: GaNgStA_pC
Event Code: 5038
Message: L’intégrité du code a déterminé que le hachage de l’image d’un fichier n’est pas valide. Le fichier peut être endommagé en raison d’une modification non autorisée ou le hachage non valide peut indiquer une erreur d’unité de disque potentielle.

Nom du fichier :	\Device\HarddiskVolume2\Windows\System32\drivers	cpip.sys	
Record Number: 11543
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090415205224.094826-000
Event Type: Échec de l'audit
User: 

Computer Name: GaNgStA_pC
Event Code: 5038
Message: L’intégrité du code a déterminé que le hachage de l’image d’un fichier n’est pas valide. Le fichier peut être endommagé en raison d’une modification non autorisée ou le hachage non valide peut indiquer une erreur d’unité de disque potentielle.

Nom du fichier :	\Device\HarddiskVolume2\Windows\System32\drivers	cpip.sys	
Record Number: 11544
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090415205224.130826-000
Event Type: Échec de l'audit
User: 

Computer Name: GaNgStA_pC
Event Code: 5038
Message: L’intégrité du code a déterminé que le hachage de l’image d’un fichier n’est pas valide. Le fichier peut être endommagé en raison d’une modification non autorisée ou le hachage non valide peut indiquer une erreur d’unité de disque potentielle.

Nom du fichier :	\Device\HarddiskVolume2\Windows\System32\drivers	cpip.sys	
Record Number: 11545
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090415205224.157826-000
Event Type: Échec de l'audit
User: 

Computer Name: GaNgStA_pC
Event Code: 5038
Message: L’intégrité du code a déterminé que le hachage de l’image d’un fichier n’est pas valide. Le fichier peut être endommagé en raison d’une modification non autorisée ou le hachage non valide peut indiquer une erreur d’unité de disque potentielle.

Nom du fichier :	\Device\HarddiskVolume2\Windows\System32\drivers	cpip.sys	
Record Number: 11546
Source Name: Microsoft-Windows-Security-Auditing
Time Written: 20090415205224.183826-000
Event Type: Échec de l'audit
User: 

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"Path"=C:\Program Files\PC Connectivity Solution\;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;C:\Program Files\ATI Technologies\ATI.ACE\Core-Static
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
"PROCESSOR_ARCHITECTURE"=x86
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
"USERNAME"=SYSTEM
"windir"=%SystemRoot%
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 15 Stepping 2, GenuineIntel
"PROCESSOR_REVISION"=0f02
"NUMBER_OF_PROCESSORS"=2

-----------------EOF-----------------

loloetseb · Answer

Il manque une grosse partie du premier rapport

2009-02-23 13:36:19 ----A---- C:\Windows\system32\powercpl.dll
2009-02-23

Peux tu me poster la suite

Gangsta113 · Answer

^^ j'ai mis la suite au post 24
sinon si tu préfére , voila les 2 rapport en entier :
log.txt
http://uplofile.free.fr/rep1/58476200log.txt

info.txt
http://uplofile.free.fr/rep5/6464160info.txt

loloetseb · Answer

>>>>>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<<<< >>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<<< ============================================================================================= Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée. Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir pré-installée sur votre PC avant toute suppression de nuisibles. Elle vous permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais votre ordinateur rencontre un problème après une tentative de nettoyage. Suivez les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows et lorsque cela vous est demandé, acceptez le Contrat de Licence Utilisateur Final pour installer la Console de récupération Microsoft Windows. Sous XP Sous Vista **Note importante: Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles. A Lire , Impératif !!!! Télécharges Combofix : Et important, enregistre le sous "moi.exe" sur le bureau. Avant d'utiliser ComboFix : ? Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. ? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. Une fois fait, sur ton bureau double-clic sur moi.exe - Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. /!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. - En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. - Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) ? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. --

loloetseb · Answer

Gangsta,

1/ la nouvelle generation de virus (type virut ou autres) resiste au reformatage.Tu peux te balader sur le forum certains ont reformater 3,4 ou 5 fois pour rien car ils ont toujours l'infection

2/ Tu demandes de l'aide,on t'aide bénévolement.C'est toi qui est infecté,moi perso,je ne le suis pas et je fais en sorte d'etre bien protegé et de ne pas cliquer sur tout ce qui bouge et de telecharger les premier crack et keygens venues.

3/Apres on fait comme tu veux ,si tu veux reformater,reformates,moi perso ca me rendra pas plus riche.Dans ce cas la passes le topic en resolu.Ca me fera aussi gagner du temps,que je te consacre sur ma vie personnelle

pimprenelle27 · Answer

c'est bien de choisir la facilité à ce moment là fallait le faire dès le départ une demande de désinfection fallait formater direct.

Gangsta113 · Answer

voila le rapport combofix :
http://uplofile.free.fr/rep5/13976597combolog.txt
<----------------------------------------------------------------------------------------->

ComboFix 09-04-16.02 - G.AN.G.ST.A 16/04/2009 15:02.1 - NTFSx86
Microsoft® Windows Vista™ Édition Familiale Premium   6.0.6001.1.1252.33.1036.18.765.341 [GMT 2:00]
Lancé depuis: c:\users\G.AN.G.ST.A\Desktop\ComboFix.exe
 * Un nouveau point de restauration a été créé
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\pthreadGC2.dll

.
(((((((((((((((((((((((((((((   Fichiers créés du 2009-03-16 au 2009-04-16  ))))))))))))))))))))))))))))))))))))
.

2009-04-16 12:44 . 2009-02-13 08:49	1255936	----a-w	c:\windows\system32\lsasrv.dll
2009-04-15 20:51 . 2009-04-15 20:52	--------	d-----w	C:sit
2009-04-15 14:01 . 2009-04-15 14:01	2560	----a-w	c:\windows\_MSRSTRT.EXE
2009-04-15 04:28 . 2009-04-15 04:28	--------	d-----w	c:\users\All Users\SUPERAntiSpyware.com
2009-04-15 04:28 . 2009-04-15 04:28	--------	d-----w	c:\programdata\SUPERAntiSpyware.com
2009-04-15 04:27 . 2009-04-15 04:27	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\SUPERAntiSpyware.com
2009-04-13 22:38 . 2009-04-13 22:38	--------	d-----w	C:\GenProc
2009-04-13 22:01 . 2009-04-13 22:01	--------	d-----w	c:\users\All Users\Malwarebytes
2009-04-13 22:01 . 2009-04-13 22:01	--------	d-----w	c:\programdata\Malwarebytes
2009-04-07 21:39 . 2009-04-14 05:08	--------	d-----w	c:\users\G.AN.G.ST.A\dwhelper
2009-04-05 11:05 . 2009-04-05 11:05	0	---ha-w	c:\windows\system32\drivers\Msft_User_PCCSWpdDriver_01_05_00.Wdf
2009-04-05 11:01 . 2009-04-05 11:06	--------	d-----w	c:\windows\Downloaded Installations
2009-04-05 10:52 . 2009-04-05 11:01	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\PC Suite
2009-04-05 10:43 . 2009-04-05 10:43	0	---ha-w	c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01005.Wdf
2009-04-04 14:49 . 2008-10-27 17:37	8192	----a-w	C:\wubildr.mbr
2009-04-04 14:49 . 2008-10-27 17:37	192307	----a-w	C:\wubildr
2009-04-03 12:07 . 2009-04-03 12:08	1905	----a-w	c:\windows\diagwrn.xml
2009-04-03 12:07 . 2009-04-03 12:08	1905	----a-w	c:\windows\diagerr.xml
2009-04-03 10:09 . 2009-04-03 10:09	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\Canneverbe_Limited
2009-03-31 10:27 . 2009-03-31 10:27	--------	d-----w	c:\users\All Users\WindowsSearch
2009-03-31 10:27 . 2009-03-31 10:27	--------	d-----w	c:\programdata\WindowsSearch
2009-03-31 05:19 . 2009-03-31 05:27	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Local\Opera
2009-03-30 10:09 . 2009-03-30 10:09	56	---ha-w	c:\users\All Users\ezsidmv.dat
2009-03-30 10:09 . 2009-03-30 10:09	56	---ha-w	c:\programdata\ezsidmv.dat
2009-03-30 10:05 . 2009-04-14 21:01	--------	d-----w	c:\users\All Users\Skype
2009-03-30 10:05 . 2009-04-14 21:01	--------	d-----w	c:\programdata\Skype
2009-03-28 01:42 . 2009-03-28 01:42	25	----a-w	c:\windowsaminfase.vbs
2009-03-25 09:44 . 2009-03-28 14:57	--------	d-----w	c:\users\All Users\TrackMania
2009-03-25 09:44 . 2009-03-28 14:57	--------	d-----w	c:\programdata\TrackMania
2009-03-25 09:41 . 2005-05-26 14:34	2297552	----a-w	c:\windows\system32\d3dx9_26.dll
2009-03-25 09:40 . 2009-03-25 09:40	--------	d-----w	c:\users\Public
2009-03-25 05:12 . 2007-06-20 19:46	266088	----a-w	c:\windows\system32\xactengine2_8.dll
2009-03-25 05:12 . 2007-06-20 19:45	18280	----a-w	c:\windows\system32\x3daudio1_2.dll
2009-03-25 05:12 . 2007-05-16 15:45	443752	----a-w	c:\windows\system32\d3dx10_34.dll
2009-03-25 05:12 . 2007-05-16 15:45	1124720	----a-w	c:\windows\system32\D3DCompiler_34.dll
2009-03-25 05:12 . 2007-05-16 15:45	3497832	----a-w	c:\windows\system32\d3dx9_34.dll
2009-03-25 05:12 . 2007-04-04 17:53	81768	----a-w	c:\windows\system32\xinput1_3.dll
2009-03-25 05:12 . 2007-04-04 17:55	261480	----a-w	c:\windows\system32\xactengine2_7.dll
2009-03-25 05:12 . 2007-03-15 15:57	443752	----a-w	c:\windows\system32\d3dx10_33.dll
2009-03-25 05:12 . 2007-03-12 15:42	3495784	----a-w	c:\windows\system32\d3dx9_33.dll
2009-03-25 05:12 . 2007-03-12 15:42	1123696	----a-w	c:\windows\system32\D3DCompiler_33.dll
2009-03-25 05:12 . 2007-03-05 11:42	15128	----a-w	c:\windows\system32\x3daudio1_1.dll
2009-03-25 05:12 . 2007-01-24 14:27	255848	----a-w	c:\windows\system32\xactengine2_6.dll
2009-03-21 11:33 . 2009-03-21 11:33	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\Notepad++
2009-03-21 10:30 . 2009-03-21 10:30	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\Foxit
2009-03-21 07:03 . 2009-03-21 07:03	--------	d-----w	c:\users\All Users\Avira
2009-03-21 07:03 . 2009-03-21 07:03	--------	d-----w	c:\programdata\Avira
2009-03-20 04:03 . 2009-03-20 04:32	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\Vso
2009-03-19 23:00 . 2009-03-19 23:04	--------	d-----w	c:\users\G.AN.G.ST.A\AppData\Roaming\vlc
2009-03-18 15:29 . 2009-03-18 15:29	0	---ha-w	c:\windows\system32\drivers\Msft_User_WpdFs_01_00_00.Wdf

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-16 12:54 . 2009-03-30 11:01	245760	--sha-w	c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\IETldCache\index.dat
2009-04-16 12:54 . 2006-11-02 13:02	32768	--sha-w	c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2009-04-16 12:54 . 2006-11-02 13:02	16384	--sha-w	c:\windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
2009-04-16 12:54 . 2006-11-02 13:02	16384	--sha-w	c:\windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2009-04-16 12:52 . 2009-04-16 12:52	2048	--sha-w	c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
2009-04-16 12:52 . 2009-04-16 12:52	2048	--sha-w	c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
2009-04-16 12:50 . 2006-11-02 11:18	--------	d-----w	c:\program files\Windows Mail
2009-04-15 20:52 . 2009-04-15 20:51	--------	d-----w	c:\program files	rend micro
2009-04-15 14:06 . 2009-04-15 14:06	--------	d-----w	c:\program files\InCode Solutions
2009-04-15 04:27 . 2009-04-15 04:27	--------	d-----w	c:\program files\SUPERAntiSpyware
2009-04-15 04:25 . 2009-04-15 04:25	--------	d-----w	c:\program files\Common Files\Wise Installation Wizard
2009-04-14 21:04 . 2006-11-02 15:48	669566	----a-w	c:\windows\System32\perfh00C.dat
2009-04-14 21:04 . 2006-11-02 15:48	123556	----a-w	c:\windows\System32\perfc00C.dat
2009-04-14 21:03 . 2009-04-03 10:09	--------	d-----w	c:\program files\CDBurnerXP
2009-04-08 10:31 . 2009-04-05 10:50	--------	d-----w	c:\program files\Nokia
2009-04-07 21:50 . 2009-02-23 13:52	--------	d-----w	c:\program files\Common Files\Real
2009-04-05 11:05 . 2006-11-02 10:25	86016	----a-w	c:\windows\Inf\infstrng.dat
2009-04-05 11:05 . 2006-11-02 10:25	51200	----a-w	c:\windows\Inf\infpub.dat
2009-04-05 10:52 . 2006-11-02 10:25	86016	----a-w	c:\windows\Inf\infstor.dat
2009-04-05 10:52 . 2009-04-05 10:52	--------	d-----w	c:\program files\PC Connectivity Solution
2009-04-04 11:23 . 2009-04-04 11:23	32768	--sha-w	c:\windows\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2009-04-04 11:23 . 2009-04-04 11:23	245760	--sha-w	c:\windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\Windows\IETldCache\index.dat
2009-04-04 11:23 . 2009-04-04 11:23	16384	--sha-w	c:\windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
2009-04-04 11:23 . 2009-04-04 11:23	16384	--sha-w	c:\windows\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2009-04-03 13:27 . 2009-04-03 13:27	32768	--sha-w	c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2009-04-03 13:27 . 2009-04-03 13:27	16384	--sha-w	c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
2009-04-03 13:27 . 2009-04-03 13:27	16384	--sha-w	c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2009-03-31 05:32 . 2009-03-31 05:19	--------	d-----w	c:\program files\Opera
2009-03-30 10:03 . 2009-03-30 09:57	--------	d-----w	c:\program files\K-Lite Codec Pack
2009-03-30 09:21 . 2009-02-22 23:45	--------	d-----w	c:\program files\Samsung
2009-03-30 09:21 . 2009-02-22 23:41	--------	d--h--w	c:\program files\InstallShield Installation Information
2009-03-25 09:40 . 2009-03-25 09:37	--------	d-----w	c:\program files\TmNationsForever
2009-03-25 04:05 . 2009-03-25 04:05	--------	d-----w	c:\program files\IZArc
2009-03-21 12:14 . 2009-02-23 12:41	--------	d-----w	c:\program files\Spybot - Search & Destroy
2009-03-21 11:33 . 2009-03-21 11:33	--------	d-----w	c:\program files\Notepad++
2009-03-21 10:29 . 2009-03-21 10:29	--------	d-----w	c:\program files\Foxit Software
2009-03-21 07:03 . 2009-03-21 07:03	--------	d-----w	c:\program files\Avira
2009-03-19 23:50 . 2009-03-19 23:00	--------	d-----w	c:\program files\adslTV
2009-03-17 03:38 . 2009-04-16 12:44	40960	----a-w	c:\windows\AppPatch\apihex86.dll
2009-03-17 03:38 . 2009-04-16 12:44	13824	----a-w	c:\windows\System32\apilogen.dll
2009-03-17 03:38 . 2009-04-16 12:44	24064	----a-w	c:\windows\System32\amxread.dll
2009-03-12 05:40 . 2009-03-12 03:52	--------	d-----w	c:\program files\PhotoFiltre
2009-03-08 11:34 . 2009-03-30 10:51	914944	----a-w	c:\windows\System32\wininet.dll
2009-03-08 11:34 . 2009-03-30 10:52	43008	----a-w	c:\windows\System32\licmgr10.dll
2009-03-08 11:33 . 2009-03-30 10:52	18944	----a-w	c:\windows\System32\corpol.dll
2009-03-08 11:33 . 2009-03-30 10:51	109056	----a-w	c:\windows\System32\iesysprep.dll
2009-03-08 11:33 . 2009-03-30 10:51	109568	----a-w	c:\windows\System32\PDMSetup.exe
2009-03-08 11:33 . 2009-03-30 10:51	132608	----a-w	c:\windows\System32\ieUnatt.exe
2009-03-08 11:33 . 2009-03-30 10:51	107520	----a-w	c:\windows\System32\RegisterIEPKEYs.exe
2009-03-08 11:33 . 2009-03-30 10:51	107008	----a-w	c:\windows\System32\SetIEInstalledDate.exe
2009-03-08 11:33 . 2009-03-30 10:51	103936	----a-w	c:\windows\System32\SetDepNx.exe
2009-03-08 11:33 . 2009-03-30 10:51	420352	----a-w	c:\windows\System32\vbscript.dll
2009-03-08 11:32 . 2009-03-30 10:52	72704	----a-w	c:\windows\System32\admparse.dll
2009-03-08 11:32 . 2009-03-30 10:52	71680	----a-w	c:\windows\System32\iesetup.dll
2009-03-08 11:32 . 2009-03-30 10:52	66560	----a-w	c:\windows\System32\wextract.exe
2009-03-08 11:32 . 2009-03-30 10:51	169472	----a-w	c:\windows\System32\iexpress.exe
2009-03-08 11:31 . 2009-03-30 10:52	34816	----a-w	c:\windows\System32\imgutil.dll
2009-03-08 11:31 . 2009-03-30 10:52	48128	----a-w	c:\windows\System32\mshtmler.dll
2009-03-08 11:31 . 2009-03-30 10:51	45568	----a-w	c:\windows\System32\mshta.exe
2009-03-08 11:22 . 2009-03-30 10:52	156160	----a-w	c:\windows\System32\msls31.dll
2009-03-03 18:32 . 2009-03-03 18:31	--------	d-----w	c:\program files\Ati
2009-03-03 04:46 . 2009-04-16 12:44	3599328	----a-w	c:\windows\System32
tkrnlpa.exe
2009-03-03 04:46 . 2009-04-16 12:44	3547632	----a-w	c:\windows\System32
toskrnl.exe
2009-03-03 04:39 . 2009-04-16 12:44	183296	----a-w	c:\windows\System32\sdohlp.dll
2009-03-03 04:39 . 2009-04-16 12:44	551424	----a-w	c:\windows\System32pcss.dll
2009-03-03 04:39 . 2009-04-16 12:44	26112	----a-w	c:\windows\System32\printfilterpipelineprxy.dll
2009-03-03 04:37 . 2009-04-16 12:44	98304	----a-w	c:\windows\System32\iasrecst.dll
2009-03-03 04:37 . 2009-04-16 12:44	54784	----a-w	c:\windows\System32\iasads.dll
2009-03-03 04:37 . 2009-04-16 12:44	44032	----a-w	c:\windows\System32\iasdatastore.dll
2009-03-03 03:04 . 2009-04-16 12:44	666624	----a-w	c:\windows\System32\printfilterpipelinesvc.exe
2009-03-03 02:38 . 2009-04-16 12:44	17408	----a-w	c:\windows\System32\iashost.exe
2009-03-02 18:10 . 2009-03-30 09:57	67584	----a-w	c:\windows\System32\ff_vfw.dll
2009-02-28 21:15 . 2009-02-28 21:15	--------	d-----w	c:\programdata\eMule
2009-02-28 21:15 . 2009-02-28 21:15	--------	d-----w	c:\program files\eMule
2009-02-24 09:58 . 2009-02-24 09:58	--------	d-----w	c:\program files\Microsoft Silverlight
2009-02-23 14:06 . 2009-02-23 14:07	410984	----a-w	c:\windows\System32\deploytk.dll
2009-02-23 14:06 . 2009-02-23 14:06	--------	d-----w	c:\program files\Java
2009-02-23 12:47 . 2009-02-23 12:47	--------	d-----w	c:\program files\CCleaner
2009-02-23 12:44 . 2009-02-23 12:41	--------	d-----w	c:\programdata\Spybot - Search & Destroy
2009-02-23 12:20 . 2006-11-02 12:50	174	--sha-w	c:\program files\desktop.ini
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Sidebar
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Calendar
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Photo Gallery
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Journal
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Collaboration
2009-02-23 12:11 . 2006-11-02 12:37	--------	d-----w	c:\program files\Windows Defender
2009-02-23 12:10 . 2006-11-02 10:25	665600	----a-w	c:\windows\Inf\drvindex.dat
2009-02-23 11:54 . 2006-11-02 10:32	101888	----a-w	c:\windows\System32\ifxcardm.dll
2009-02-23 11:54 . 2006-11-02 10:32	82432	----a-w	c:\windows\System32\axaltocm.dll
2009-02-23 10:55 . 2009-02-23 10:55	269312	----a-w	c:\windows\System32\es.dll
2009-02-23 10:28 . 2009-02-23 10:28	28672	----a-w	c:\windows\System32\FwRemoteSvr.dll
2009-02-23 10:28 . 2009-02-23 10:28	61440	----a-w	c:\windows\System32\winipsec.dll
2009-02-23 10:28 . 2009-02-23 10:28	361984	----a-w	c:\windows\System32\IPSECSVC.DLL
2009-02-23 10:28 . 2009-02-23 10:28	272896	----a-w	c:\windows\System32\polstore.dll
2009-02-23 10:24 . 2009-02-23 10:24	94720	----a-w	c:\windows\System32\PortableDeviceClassExtension.dll
2009-02-23 10:24 . 2009-02-23 10:24	241152	----a-w	c:\windows\System32\PortableDeviceApi.dll
2009-02-23 10:24 . 2009-02-23 10:24	160768	----a-w	c:\windows\System32\PortableDeviceTypes.dll
2009-02-23 10:08 . 2009-02-23 10:08	296960	----a-w	c:\windows\System32\gdi32.dll
2009-02-23 10:05 . 2009-02-23 10:05	212480	----a-w	c:\windows\system32\drivers\mrxsmb10.sys
2009-02-23 10:02 . 2009-02-23 10:02	28672	----a-w	c:\windows\System32\Apphlpdm.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ehTray.exe]
2008-01-19 07:33	125952	----a-w	c:\windows\ehome\ehtray.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversionun-]
"SUPERAntiSpyware"=c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe
"SpybotSD TeaTimer"=c:\program files\Spybot - Search & Destroy\TeaTimer.exe
"Sidebar"=c:\program files\Windows Sidebar\sidebar.exe /autoRun

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Windows Defender"=%ProgramFiles%\Windows Defender\MSASCui.exe -hide
"SynTPEnh"=c:\program files\Synaptics\SynTP\SynTPEnh.exe
"RtHDVCpl"=RtHDVCpl.exe
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"TCP Query User{268DD0AF-54BD-40FB-8967-B3F4D4F4D530}c:\program files\emule\emule.exe"= UDP:c:\program files\emule\emule.exe:eMule
"UDP Query User{CFE1FF77-53AD-4C80-A92D-2128432861B2}c:\program files\emule\emule.exe"= TCP:c:\program files\emule\emule.exe:eMule
"TCP Query User{2669460B-9548-44EF-AEC8-2A8D0E47B17D}c:\program files\tmnationsforever\tmforever.exe"= UDP:c:\program files	mnationsforever	mforever.exe:TmForever
"UDP Query User{0A9198C9-4C58-42B5-AE7D-1B55BA91B945}c:\program files\tmnationsforever\tmforever.exe"= TCP:c:\program files	mnationsforever	mforever.exe:TmForever
"TCP Query User{3A4CD280-8117-447C-94AB-3E6263A1C596}c:\program files\incode solutions\removeit pro v4 - se\removeit.exe"= UDP:c:\program files\incode solutionsemoveit pro v4 - seemoveit.exe:removeit
"UDP Query User{F0BF049C-230A-404B-AA3C-6CD8E070322C}c:\program files\incode solutions\removeit pro v4 - se\removeit.exe"= TCP:c:\program files\incode solutionsemoveit pro v4 - seemoveit.exe:removeit

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\PublicProfile]
"EnableFirewall"= 0 (0x0)

R3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [2009-03-23 7408]
S1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\SASDIFSV.SYS [2009-03-23 9968]
S1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.sys [2009-03-23 72944]
S2 KMDFMEMIO;SAMSUNG Kernel Driver;c:\windows\system32\DRIVERS\kmdfmemio.sys [2006-11-14 13312]
S2 SBSDWSCService;SBSD Security Center Service;c:\program files\Spybot - Search & Destroy\SDWinSec.exe [2009-01-26 1153368]


[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\System32undll32.exe" "c:\windows\System32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
- - - - ORPHELINS SUPPRIMES - - - -

MSConfigStartUp-Skype - c:\program files\Skype\Phone\Skype.exe


.
------- Examen supplémentaire -------
.
uStart Page = hxxp://google.fr/
TCP: {032FC557-7357-485A-92CE-4D7D864F42ED} = 192.168.1.1
FF - ProfilePath - c:\users\G.AN.G.ST.A\AppData\Roaming\Mozilla\Firefox\Profiles\bskk1us8.default\
FF - prefs.js: browser.startup.homepage - hxxp://fr.start2.mozilla.com/firefox
FF - plugin: c:\program files\Mozilla Firefox\plugins
p-mswmp.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins
pFoxitReaderPlugin.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-16 15:05
Windows 6.0.6001 Service Pack 1 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
Heure de fin: 2009-04-16 15:07
ComboFix-quarantined-files.txt  2009-04-16 13:07

Avant-CF: 24 527 003 648 octets libres
Après-CF: 24 423 223 296 octets libres

229	--- E O F ---	2009-04-16 12:48

loloetseb · Answer

Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage
  - Coche    Afficher les fichiers et dossiers cachés
  - Décoche Masquer les extensions des fichiers dont le type est connu
  - Décoche Masquer les fichiers protégés du système d'exploitation (recommandé)
clique sur Appliquer, puis OK.

N'oublie pas de recacher à nouveau les fichiers cachés et protégés du système d'exploitation en fin de désinfection, c'est important

Fais analyser le(s) fichier(s) suivants sur Virus total :

Virus Total

    * Clique sur Parcourir en haut, choisis Poste de travail et cherche ce fichier :

c:\windows\System32\perfh00C.dat 

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté
    * Une nouvelle fenêtre de ton navigateur va apparaître
    * Clique alors sur les deux fleches
    * Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
    * Enfin colle le résultat dans ta prochaine réponse.


    * Fais la même chose avec ces fichiers :

c:\windows\Inf\infpub.dat     
c:\windows\System32\PDMSetup.exe 




Note : Pour analyser un autre fichier, clique en bas sur Autre fichier.

Gangsta113 · Answer

Fichier perfh00C.dat reçu le 2009.04.16 18:10:11 (CET) Antivirus Version Dernière mise à jour Résultat a-squared 4.0.0.101 2009.04.16 - AhnLab-V3 5.0.0.2 2009.04.16 - AntiVir 7.9.0.143 2009.04.16 - Antiy-AVL 2.0.3.1 2009.04.16 - Authentium 5.1.2.4 2009.04.16 - Avast 4.8.1335.0 2009.04.16 - AVG 8.5.0.287 2009.04.16 - BitDefender 7.2 2009.04.16 - CAT-QuickHeal 10.00 2009.04.16 - ClamAV 0.94.1 2009.04.16 - Comodo 1116 2009.04.16 - DrWeb 4.44.0.09170 2009.04.16 - eSafe 7.0.17.0 2009.04.13 - eTrust-Vet 31.6.6455 2009.04.14 - F-Prot 4.4.4.56 2009.04.15 - F-Secure 8.0.14470.0 2009.04.16 - Fortinet 3.117.0.0 2009.04.16 - GData 19 2009.04.16 - Ikarus T3.1.1.49.0 2009.04.16 - K7AntiVirus 7.10.704 2009.04.15 - Kaspersky 7.0.0.125 2009.04.16 - McAfee 5585 2009.04.15 - McAfee+Artemis 5585 2009.04.15 - McAfee-GW-Edition 6.7.6 2009.04.16 - Microsoft 1.4502 2009.04.16 - NOD32 4014 2009.04.16 - Norman 6.00.06 2009.04.16 - nProtect 2009.1.8.0 2009.04.16 - Panda 10.0.0.14 2009.04.15 - PCTools 4.4.2.0 2009.04.15 - Prevx1 V2 2009.04.16 - Rising 21.25.34.00 2009.04.16 - Sophos 4.40.0 2009.04.16 - Sunbelt 3.2.1858.2 2009.04.15 - Symantec 1.4.4.12 2009.04.16 - TheHacker 6.3.4.0.309 2009.04.16 - TrendMicro 8.700.0.1004 2009.04.16 - VBA32 3.12.10.2 2009.04.12 - ViRobot 2009.4.16.1696 2009.04.16 - VirusBuster 4.6.5.0 2009.04.16 - Information additionnelle File size: 669566 bytes MD5...: bd6a4c8aaba0d34ff545a96a32b8e63f SHA1..: d04c079036cb2d66be4069465362a5aaa127ca05 SHA256: 77c7aa5ee9c42d5f566cb8fbc680d4d7bb240138c0056143e64c164084108921 SHA512: fd7323fd05c548e3351ff89b23180c4efb153411349ccadadeb8afad45886a22
5a7000fdf0a83399d8b2a4c4f1a67c5cc19291fe4ce1f0c8b236c113a3a3f268 ssdeep: 3072:Mr8UWRI44HUGs9jW8BsHpi/vTOICRQ5JjB7hsXCtBblGDxW/2kB9liHZcn5
/vCbJ:4W4GZ/vofx
PEiD..: - TrID..: File type identification
Unknown! PEInfo: - RDS...: NSRL Reference Data Set
- Antivirus Version Dernière mise à jour Résultat a-squared 4.0.0.101 2009.04.16 - AhnLab-V3 5.0.0.2 2009.04.16 - AntiVir 7.9.0.143 2009.04.16 - Antiy-AVL 2.0.3.1 2009.04.16 - Authentium 5.1.2.4 2009.04.16 - Avast 4.8.1335.0 2009.04.16 - AVG 8.5.0.287 2009.04.16 - BitDefender 7.2 2009.04.16 - CAT-QuickHeal 10.00 2009.04.16 - ClamAV 0.94.1 2009.04.16 - Comodo 1116 2009.04.16 - DrWeb 4.44.0.09170 2009.04.16 - eSafe 7.0.17.0 2009.04.13 - eTrust-Vet 31.6.6455 2009.04.14 - F-Prot 4.4.4.56 2009.04.15 - F-Secure 8.0.14470.0 2009.04.16 - Fortinet 3.117.0.0 2009.04.16 - GData 19 2009.04.16 - Ikarus T3.1.1.49.0 2009.04.16 - K7AntiVirus 7.10.704 2009.04.15 - Kaspersky 7.0.0.125 2009.04.16 - McAfee 5585 2009.04.15 - McAfee+Artemis 5585 2009.04.15 - McAfee-GW-Edition 6.7.6 2009.04.16 - Microsoft 1.4502 2009.04.16 - NOD32 4014 2009.04.16 - Norman 6.00.06 2009.04.16 - nProtect 2009.1.8.0 2009.04.16 - Panda 10.0.0.14 2009.04.15 - PCTools 4.4.2.0 2009.04.15 - Prevx1 V2 2009.04.16 - Rising 21.25.34.00 2009.04.16 - Sophos 4.40.0 2009.04.16 - Sunbelt 3.2.1858.2 2009.04.15 - Symantec 1.4.4.12 2009.04.16 - TheHacker 6.3.4.0.309 2009.04.16 - TrendMicro 8.700.0.1004 2009.04.16 - VBA32 3.12.10.2 2009.04.12 - ViRobot 2009.4.16.1696 2009.04.16 - VirusBuster 4.6.5.0 2009.04.16 - Information additionnelle File size: 669566 bytes MD5...: bd6a4c8aaba0d34ff545a96a32b8e63f SHA1..: d04c079036cb2d66be4069465362a5aaa127ca05 SHA256: 77c7aa5ee9c42d5f566cb8fbc680d4d7bb240138c0056143e64c164084108921 SHA512: fd7323fd05c548e3351ff89b23180c4efb153411349ccadadeb8afad45886a22
5a7000fdf0a83399d8b2a4c4f1a67c5cc19291fe4ce1f0c8b236c113a3a3f268 ssdeep: 3072:Mr8UWRI44HUGs9jW8BsHpi/vTOICRQ5JjB7hsXCtBblGDxW/2kB9liHZcn5
/vCbJ:4W4GZ/vofx
PEiD..: - TrID..: File type identification
Unknown! PEInfo: - RDS...: NSRL Reference Data Set
-

loloetseb · Answer

> Télécharge Dr Web CureIt sur ton Bureau : - Double clique et ensuite clique sur ; - Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". - Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . - De retour à la fenêtre principale : clique pour activer - Clique le bouton avec flèche verte sur la droite, et le scan débutera. - Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". - Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . - Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv - Ferme Dr.Web Cureit - Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage). - Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse.

Gangsta113 · Answer

salut bon pour le dr web bidule , bon sa à scanné pendent 2h40 (merci ...^^) pour me trouvé un faux positif : trojan.startpage.1505 // RegUBP2b-gangsta.reg;C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Snapshots2 (trop cool ^^)
bon bein le meilleur pour la fin : quand j'ai voulu sortir le rapport sa ma planter le systéme, écran bleu ... redémarage ... (re-merci^^) grrrr !!
rrRrrrr ^^

mais ou voit tu qui ya des virus , ou trojan sur mon système ? peut tu me copié/collé une ou 2 ligne que tu trouve bizarre dans les rapports ?
tu me fait faire des tas de truc ... je commence à me demander si tu as pour projets de me faire essayé tous les scanner sur le marché ? (désolé pour ce ton un peu ironique ...) 

pour rappel j'ai juste ouvert un dossier au format compressé .ZIP qui contenait un logiciel NetBus.exe (gestionnaire d'ordinateur à distance) et patch.exe (programme à installé sur le pc cible)
sans rien cliqué j'ai le centre de sécurité qui m'avertit que le contenue de ce dossier comporte un risque majeur et me demande de supprimé . je supprime direct et de là j'enchaine une paranoïa , esse que on peut être infecté juste en ouvrant un dossier .ZIP ?

voilà ma question ...
merci pour tous ces scans... c'est super choux
mais si entre 2 post vous pouvez m'apprendre 2 ou 3 truc sa serai sympa aussi ^^
biz .

loloetseb · Answer

Salut Gangsta,

Je reprendrais tes propos d'un poste precedent

et là *paff* sans que je touche à rien, j'ai le centre de sécurité qui se met en alerte (rouge) "grave" et qui me demande de tous suprimée ... bein moi comme d'ab, "comme un con" je clique sur "supprime tout" ^^
c'est un copain qui m'a envoyé ce fichier en me demandant de le lui gardé au chaud
moi je sais pas ^^
(si je sais! mais bon chutt:))))

Il n'est pas necessaire d'ouvrir un fichier ou de cliquer dessus pour  d'etre infecté.Tu peux avoir des autoruns qui lance automatiquement des logiciels malveillant,tu peux aussi avoir des virus de scrpt (qui se lance lors d'un surf sur un site verrollé).Le temps ou il fallait cliquer sur un fichier pour etre infecté est totalement depassé.

Ton collegue te fait garder un fichier de hack ,ce que je trouve bizarre et pas tres legale.A cela soit il t'aime beaucoup (ironique),soit il souhaitait te hacker (beaucoup moins ironique).Netbus est utilisé pour prendre des ordiniateur à distance,mais ce logiciel n'est plus disponible au telechargement dans la legalité.Il est telechargé sur les sites de hack ou bien souvent le hacker en herbe se fait hacker en chargant le serveur et non la telecommande

Concernant

C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Snapshots2

Qu'est ce qui te fait dire que c'est un faux positif.Ce n'est pas ce que l'on peut penser quand l'on fait des recherches sur le net.Peux tu me copier coller le rapport en entier de dr web.

Ensuite en relisant les postes precedent,chaque procedure utilisée a ete necessaire.Apres avec la complexité des nouvelles variantes de malwares,il est impossible d'avoir un seul logiciel pour desinfecter toutes les infections.Chaque grande variante de malware a son propre logiciel de desinfection (ce qui explique l'accumulation de procedure).Je te rassure ,tu es loin d'avoir fait tous les fix disponible sur le marché!!!!
C'est clair qu'il est plus rapide de s'infecter que de se desinfecter.

Postes le rapport dr web ,ensuite on passera en procedure de desinfection (ce qui ecourtera le delais qui te semble trop important)

Gangsta113 · Answer

salut lolo, merci pour ces petites précision, c'est vrai que de nos jours n'importe qui avec très peu de connaissance en informatique peu avec un logiciel trouvé sur le net s'attaqué siament à des povr internaute comme nous... on es jamais assez prudent ! 
mais la sécurisation de vista n'est pas à prendre à la légère non plus ! ;) 
pour ce qui est de netbus après avoir découvert que c'était un Trojan je ne l'ai pas gardé ! 

pour ce qui est de Dr Web CureIt il m'a fait un scan complé et ma juste trouvé le truc avec spybot, que en effet j'ai vérifié sur le net et j'ai lu dans un post qu'une personne avait demandé au prés de Dr Web CureIt et il as eu pour réponse qu'il s'agissait d'un faut positif...
quand j'ai voulu sortir le rapport sa ma fait un bogg , écran bleu et redémarrage ...  sa ne ma pas enregistré le rapport !
-tu voudrai que je me risque à refaire un nouveau scan ? ou me proposerai tu une autre alternative ?

-pense tu que mon pc serait infecté ? je ne remarque rien de suspect , les performances son bonne ...
-peut tu me dire si dans les rapports précédent tu as remarqué un truc bizarre ?
je ne suis pas un as dans ce qui concerne l'infection, mais je ne suis pas non plus un illettré en matiére informatique .
merci pour ton aide c'est sympa . ;)

loloetseb · Answer

Repostes moi un dernier Rsit pour controle (supprimes les anciens rapport avant de relancer le scan),si tout est ok,je te donnerais ensuite la procedure de fin de desinfection qui redonne une seconde jeunesse à ton pc

Gangsta113 · Answer

ok ! voilà les 2 rapport rsit :
info.txt :
http://uplofile.free.fr/rep5/21020037info.txt

log.txt :
http://uplofile.free.fr/rep5/484057log.txt

dans un souci de lisibilité je t'ai uploader les 2 textes obtenu, mais si tu préfère je peux te faire un copié/collé ?

loloetseb · Answer

Procedure de fin de desinfection Télécharge ATF Cleaner par Atribune: ATF Cleaner Double-clique ATF-Cleaner.exe afin de lancer le programme. Sous l'onglet Main, choisis : Select All Clique sur le bouton Empty Selected Si tu utilises le navigateur Firefox : Clique Firefox au haut et choisis : Select All Clique le bouton Empty Selected NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite. Si tu utilises le navigateur Opera : Clique Opera au haut et choisis : Select All Clique le bouton Empty Selected NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite. Clique Exit, du menu prinicipal, afin de fermer le programme. Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus. __________________________________________________ ToolCleaner2 ---> Télécharge ToolsCleaner2 sur ton Bureau. * Double-clique sur ToolsCleaner2.exe pour le lancer. * Clique sur Recherche et laisse le scan agir. * Clique sur Suppression pour finaliser. * Tu peux, si tu le souhaites, te servir des Options Facultatives. * Clique sur Quitter pour obtenir le rapport. * Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). _________________________________________________ supprime toolscleaner2 manuellement _________________________________________________ ---> Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : CCleaner * Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... * Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. * Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse(Sauvegarde la base de registre). * Veille a ce que dans les options le reglage soit au demarrage de windows et réglé sur "effacement securisé" 35 passes (guttman) __________________________________________________ Attention : ne pas toucher au PC pendant qu'il travaille ! B-Nettoyage et Défragmentation de tes Disques *Nettoyage : Clic droit sur "poste de travail" ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Général" Cliques sur le bouton "nettoyage de disque", OK tu le fais pour chacun de tes disques ________________________________________________ *Vérifications des erreurs : Clic droit sur "poste de travail" ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Outil" "Vérifier maintenant", une boîte s'ouvre, cocher les cases : -réparer automatiquement les erreurs... -rechercher et tenter une récupération... --->Démarrer, ok Note : s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal tu le fais pour chacun de tes disques ________________________________________________ ensuite toujours dans le même onglet tu choisis : *Défragmentation : "défragmenter maintenant", OK une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" . OK tu le fais pour chacun de tes disques _______________________________________________ Note : si tu as un utilitaire pour défragmenter , utilises le à la place pour ce faire ceci est proposé : Defraggler _________________________________________________ > Peux-tu vérifier ta console JAVA ici ? : Console Java , et installer la nouvelle version si besoin est (dans ce cas désinstalle avant l'ancienne version). Pour info. ou en cas de problème : Tuto voici pour desinstaller : JavaRa Décompresse le fichier sur le Bureau (Clic droit > Extraire tout). * Double-clique sur le répertoire JavaRa. * Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). * Choisis Français puis clique sur Select. * Clique sur Recherche de mises à jour. * Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher. * Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes. * L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions. * Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. * Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse. * Ferme l'application. Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log. _________________________________________________ > Mets à jour Acrobat si ce n'est pas le cas (désinstalle avant la version antérieure) : Adobe Reader __________________________________________________ > Tu peux aussi vider ta corbeille,quoi que Ccleaner le fasse tout seul _____________________________________________________ > Si nous avons utilisé MalwaresByte's Anti-Malware : vide sa quarantaine. - Lance le programme puis clique sur . - Sélectionne tous les éléments puis clique sur . - Quitte la programme. ______________________________________________________ >si tu as installé Antivir : Configuration de Antivir (Merci a Nico): clic droit sur son icone dans la barre des taches et séléctionner Configurer Antivir. cocher la case : Mode Expert. => Cliquer sur Scanner dans le volet de gauche : > Dans "Fichiers" séléctionner Tous les fichiers. > Dans procédure de recherche, cocher Autoriser l'arrêt, et dans "priorité scanner" séléctionner Elevé. > Dans "Autres réglages" cocher toutes les cases. NE SURTOUT PAS OUBLIER LA RECHERCHE DES ROOTKIT QUI EST TRES IMPORTANTE ! => Cliquer sur "Recherche" dans le volet de gauche et appliquer les mêmes paramètres que précédemment. => Dérouler "Recherche" en cliquant sur le +. Cliquer sur "Heuristique" : > Cocher "Heuristique de MacroVirus" et "Heuristique fichier Win32" avec degré d'indentification ELEVE ! => Dans le volet de gauche, dérouler "Guard" puis dérouler "Recherche" : > Cocher "Heuristique de MacroVirus" et "Heuristique fichier Win32" avec degré d'identification ELEVE ! ________________________________________________________ > Idem pour ton antivirus : vide sa quarantaine si ce n'est pas déjà fait ______________________________________________________ > Désactive et réactive la restauration de système, pour cela : suis les instructions de ce lien : Lien XP Lien Vista ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Quelques conseils et recommandations pour l'avenir : > Passe un coup de MalwareByte's Anti-Malware de temps en temps (1 fois par semaine , suivant l'utilisation que tu fais de ton PC. - Utilise aussi tes autres logiciels de protection (scannes antivirus, antispywares...). N'oublie pas de faire les mises à jour avant de les utiliser. - Pense aussi à faire une défragmentation de tes disques durs de temps en temps (garde suffisamment d'espace sur C:\ (1/3 de libre pour être à l'aise)) _____________ > Pour bien protéger ton PC : [1 seul Antivirus] + [1 seul Pare feu (/!\ les routeurs et box en possèdent un)] + [Un bon Antispyware avec immunisation] + [Mises à Jour récentes Windows et Logiciels de Protection] + [Utilisation de Firefox -ou autres- (Internet Explorer présente des failles de sécurité qui mettent longtemps avant d'être corrigées mais il faut absolument le conserver pour les mises à jour Windows et Windows live Messenger)] PS : En fait la meilleure des protections c'est toi même : ce que tu fais avec ton PC : où tu surfes, télécharges...ect.... Les virus utilisent les failles de ton PC pour infecter un système. Info : http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html dans le souhait de vouloir desinstaller un antivirus au profit d'un autre , voici quelques liens : Desinstaller Avast Desinstaller BitDefender Desinstaller Norton Desinstaller Kaspersky Desinstaller AVG _____________ > Quelques liens utiles : - https://sebsauvage.net/safehex.html - SpywareBlaster (= petit logiciel qui bloque l'installation d'activeX nuisibles au PC.(Fonctionne en arrière plan)) ____________ Si tu as Vista n'oublie pas de réactiver le controle des comptes des utilisateurs(UAC) ___________ Si tu as Spybot S&D et que nous avons desactive le "Tea-timer" tu peux le reactiver ____________ Voila, Bonne lecture, à bientot

Trojan paranoïa nb1,7.zip

32 réponses

Discussions similaires